Bezpečné skenovanie QR

Prečo sú QR kódy rizikové a prečo na nich záleží

QR kódy urýchľujú prístup k webom, platbám či konfiguráciám Wi-Fi, no zároveň obchádzajú prirodzenú vizuálnu verifikáciu adresy a cielia na najslabší článok: používateľa a jeho oprávnenia. Útočníci využívajú falošné nálepky, „prelepovanie“ legitímnych kódov, zneužitie URI schém (napr. sms:, tel:, wifi:, geo:), presmerovania a skracovače odkazov. Cieľom bezpečného skenovania je minimalizovať vydaný súhlas, kontrolovať destináciu a limitovať, čo môže aplikácia po naskenovaní vykonať.

Model hrozieb: od phishingu po tiché zmeny nastavení

• Quishing (QR phishing): QR kód smeruje na falošný prihlasovací formulár, vyžaduje MFA kód alebo číslo karty.
• Malvertising a presmerovania: reťazec skracovačov skrýva konečný cieľ; vkladá sledovacie parametre.
• Tichá iniciácia akcií: mailto: s predvyplneným telom, sms: s odoslaním na prémiové číslo, tel: s volaním, wifi: s pripojením k škodlivej sieti.
• Konfigurácie zariadenia: niektoré enterprise/proprietárne skenery dokážu zapisovať profily (VPN, MDM) – riziko mimo dôveryhodných zdrojov.
• Dodatočné sledovanie: dynamické QR obsahujú identifikátor kampane, UTM parametre alebo jedinečný token používateľa.

Minimalizmus oprávnení: zásada „čo najmenej a na najkratšie“

1. Prístup ku kamere: povoľte len aplikáciám, ktoré skutočne skenujú; preferujte systémový skener v aplikácii fotoaparátu. V nastaveniach povoľte „Len pri používaní“ a pravidelne odoberte prístup nepoužívaným aplikáciám.
2. Poloha, mikrofón, úložisko: skener QR nepotrebuje polohu ani mikrofón. Ukladajte snímky len ak je to nevyhnutné a do súkromného úložiska.
3. Odkazy a predvolené akcie: deaktivujte automatické otváranie odkazov po naskenovaní; vyžadujte potvrdenie a náhľad URL.
4. Integrácie a analytika: vypnite „zlepšovanie produktu“ a zdieľanie diagnostiky v skeneri; minimalizujte telemetriu.

Bezpečné skenovanie krok za krokom

1. Skontrolujte fyzické prostredie: nie je QR kód prelepený? Nesedí branding? Nie je kód na podozrivom mieste (napr. parkovacie automaty, kde sa často falšuje)?
2. Náhľad adresy: použite skener, ktorý zobrazuje plnú URL. Pozor na domény, homoglifové znaky, subdomény a skracovače.
3. Overte protokol: trvajte na https. Pri neštandardnej schéme (napr. wifi:, mailto:) nechajte si zobraziť detail a nespúšťajte akciu automaticky.
4. Žiadne prihlasovanie a platby bez verifikácie: ak QR vyžaduje poverenia alebo platobné údaje, potvrďte si cieľ iným kanálom (oficiálna aplikácia, web organizácie, telefonická verifikácia).
5. Nepovoľujte inštalácie: QR kód by nemal smerovať na APK alebo profil konfigurácie mimo oficiálneho obchodu/portálu.

URL hygiena: čo si všímať v náhľade odkazu

• Doména vs. subdoména: rozhodujúca je registrujúca doména (napr. priklad.com), nie login.priklad.com.badhost.net.
• Parametre a presmerovania: dlhé reťazce, redirect=, url=, r= a utm_* môžu skrývať iný cieľ a sledovanie.
• Homoglifové triky: znaky podobné latinke (napr. „а“ cyrilika). Podozrivý názov vždy otvárajte radšej manuálnym písaním adresy do prehliadača.

Platby a faktúry: bezpečné používanie platobných QR

• Bankové aplikácie: skenujte priamo v oficiálnej bankovej aplikácii, nie v generickom skeneri. Pred potvrdením porovnajte IBAN, sumu a variabilný symbol.
• Statické vs. dynamické QR: dynamické kódy môžu vygenerovať unikátny link s identifikátorom. Ak je to možné, preferujte statické formáty bez sledovacích parametrov a bez potreby webového presmerovania.
• Overenie dodávateľa: pri faktúrach preverujte QR proti záznamom v účtovníctve; podozrivé zmeny IBAN sú signálom podvrhu.

Wi-Fi, vCard a ďalšie schémy: čo sa deje po naskenovaní

• wifi: schéma: neumožnite automatické pripojenie. Skener by mal zobraziť SSID, typ zabezpečenia a heslo; manuálne potvrďte.
• vCard / MeCard: skener môže importovať kontakt so skrytými poznámkami alebo sledovacími URL. Opatrne s ukladaním do adresára; použite dočasné kontakty.
• Kalendárne pozvánky: kontrolujte názov, organizátora a URL; nepovoľujte automatické pridanie s upozorneniami a zdieľaním.

Firemný a verejný kontext: procesy a politika

1. Politika skenovania: povolené aplikácie, povinný náhľad URL, zákaz inštalácií z QR, logovanie incidentov.
2. Vzdelávanie: školte o quishing útokoch, o fyzickom prelepovaní a o rozpoznávaní podozrivých domén.
3. MDM/EMM: vynucujte oprávnenia „len pri používaní“, blokujte neznáme URI schémy a inštaláciu neznámych zdrojov.
4. Kontrola materiálov: pred publikovaním vlastných QR odstráňte UTM a identifikátory; používajte krátku retenčnú dobu pre logy.

Ochrana súkromia pri vlastných QR kódoch

• Statické odkazy: ak nepotrebujete analytiku, nepoužívajte dynamické smerovanie ani skracovače.
• Data-minimization: v mailto: nepredvyplňujte citlivé polia; v sms: neuvádzajte celé osobné údaje.
• Transparentnosť: ak zbierate metriky, uveďte to na stránke po naskenovaní a ponúknite opt-out.
• Bezpečná grafika: neschovávajte do QR konfigurácie, ktoré menia systém (VPN/MDM profily) pre širokú verejnosť.

Výber aplikácie na skenovanie: kritériá

• Bez reklám a trackerov: voľte aplikácie s minimom knižníc tretích strán alebo použite vstavaný fotoaparát systému.
• Náhľad a potvrdenie: aplikácia musí ukázať celú URL a pýtať si súhlas pred akciou.
• História a súkromie: možnosť vypnúť históriu skenov alebo nastaviť jej krátku retenčnú dobu, lokálne ukladanie bez cloudu.
• Oprávnenia: iba kamera, žiadna poloha, mikrofón, kontakty či SMS.

Smartfónové nastavenia: Android a iOS

• Android: v nastaveniach aplikácií skontrolujte oprávnenia skenerov. V prehliadači povoľte blokovanie „otvorí aplikáciu“ (App Links) pre neznáme domény. Zapnite upozornenia na škodlivé weby a izoláciu profilov (napr. pracovný profil pre služobné QR).
• iOS: preferujte skenovanie vstavaným fotoaparátom; v Safari zapnite blokovanie cross-site trackingu a upozornenia na podozrivé weby. Skontrolujte, ktoré aplikácie majú prístup ku kamere.

Rozpoznávanie podvrhov v teréne

• Prelepené nálepky: vrásky, iný materiál, presah mimo oficiálnu grafiku. Porovnajte s plagátmi a výveskami organizátora.
• QR na parkovacích automatoch a zdieľaných bicykloch: radšej otvorte oficiálnu aplikáciu ručne; QR môže smerovať na falošný platobný portál.
• Náhle „akcie“: QR sľubuje „výhru“, vyžaduje prihlásenie – vysoké riziko. Nezadávajte MFA kódy mimo oficiálnej domény.

Incident response: čo robiť po chybnom naskenovaní

1. Okamžite ukončite akciu: zavrite stránku/aplikáciu; neudeľujte ďalšie oprávnenia.
2. Zmeňte heslá/MFA: ak ste zadali poverenia, zmeňte ich a odhláste relácie; aktivujte 2FA, rotujte recovery kódy.
3. Skontrolujte transakcie: pri platbách kontaktujte banku a nastavte dočasné limity, chargeback podľa možnosti.
4. Forenzné minimum: uložte históriu skenov, náhľady URL a čas; nahláste správcom siete/bezpečnosti.

Špecifiká pre organizátorov podujatí a verejné inštitúcie

• Oficiálny kanál: uvádzajte skrátenú čitateľnú adresu popri QR (napr. doménu 2. úrovne) pre manuálny vstup.
• Ochrana pred prelepením: použite embosované alebo holografické nálepky, fyzické ochranné vrstvy a náhodný layout, aby bolo prelepenie zjavné.
• Bez trackingu: ak to nie je nevyhnutné, nepoužívajte jedinečné identifikátory v QR; rešpektujte zásady minimalizácie a informovania.

Kontrolný zoznam pre používateľa

• Skener ukazuje plnú URL a vyžaduje potvrdenie.
• Aplikácii skenera ste dali len prístup ku kamere, a to len pri používaní.
• Neskenujete QR na miestach náchylných na podvrhy bez dodatočnej verifikácie.
• Pri platbách používate oficiálnu bankovú aplikáciu a porovnávate údaje.
• Neinštalujete aplikácie ani profily z QR; neprihlasujete sa cez neznáme domény.

Zhrnutie: bezpečnosť QR ako kombinácia opatrnosti a limitovaných oprávnení

Bezpečné skenovanie QR stojí na troch pilieroch: vizuálna a logická verifikácia cieľa, minimalizmus oprávnení (kamera áno, všetko ostatné nie) a správne defaulty aplikácie – náhľad, potvrdenie, žiadne automatické akcie. Dodržaním týchto zásad znížite pravdepodobnosť podvodu aj riziko nechceného zdieľania osobných údajov na minimum.